Trojan.Siggen21.3839

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[\REGISTRY\USER\S-1-5-21-2377844457-1847597103-2569463324-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'tcxkpdvn' = '"%HOMEPATH%\qcotqwvj.exe"'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\nwrejxph] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\nwrejxph] 'ImagePath' = '%WINDIR%\SysWOW64\nwrejxph\pwdgvjcm.exe /d"<Полный путь к файлу>"'
[HKLM\SYSTEM\CurrentControlSet\Services\nwrejxph] 'ImagePath' = '%WINDIR%\SysWOW64\nwrejxph\gsivjiae.exe /d"%HOMEPATH%\qcotqwvj.exe"'

Создает следующие сервисы

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul

Изменения в файловой системе

Создает следующие файлы

Другое

Создает и запускает на исполнение

'%HOMEPATH%\qcotqwvj.exe' /d"<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\nwrejxph\' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\pwdgvjcm.exe" %WINDIR%\SysWOW64\nwrejxph\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create nwrejxph binPath= "%WINDIR%\SysWOW64\nwrejxph\pwdgvjcm.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' description nwrejxph "wifi internet conection"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start nwrejxph' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\gsivjiae.exe" %WINDIR%\SysWOW64\nwrejxph\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config nwrejxph binPath= "%WINDIR%\SysWOW64\nwrejxph\gsivjiae.exe /d\"%HOMEPATH%\qcotqwvj.exe\""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\1610.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\nwrejxph\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\pwdgvjcm.exe" %WINDIR%\SysWOW64\nwrejxph\
'%WINDIR%\syswow64\sc.exe' create nwrejxph binPath= "%WINDIR%\SysWOW64\nwrejxph\pwdgvjcm.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\sc.exe' description nwrejxph "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start nwrejxph
'<SYSTEM32>\searchprotocolhost.exe' Global\UsGthrFltPipeMssGthrPipe3_ Global\UsGthrCtrlFltPipeMssGthrPipe3 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "%...
'<SYSTEM32>\searchfilterhost.exe' 0 772 776 784 8192 780
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\gsivjiae.exe" %WINDIR%\SysWOW64\nwrejxph\
'%WINDIR%\syswow64\sc.exe' config nwrejxph binPath= "%WINDIR%\SysWOW64\nwrejxph\gsivjiae.exe /d\"%HOMEPATH%\qcotqwvj.exe\""
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\1610.bat" "